Commissaire à l information et à la protection de la vie privée de l'ontario

Transcription

1 Commissaire à l information et à la protection de la vie privée de l'ontario Comment éviter l abandon de dossiers : Lignes directrices sur le traitement des renseignements personnels sur la santé en cas de changement dans les activités d un dépositaire Ann Cavoukian, Ph.D. Commissaire Mai 2007

2 Commissaire à l'information et à la protection de la vie privée de l'ontario 2, rue Bloor Est Bureau 1400 Toronto (Ontario) M4W 1A Télécopieur : ATS (Téléimprimeur) : Site web :

3 Table des matières 1. Qui est dépositaire à la suite d un changement dans les activités d un cabinet? Quelles sont les obligations des dépositaires en vertu de la LPRPS en cas de changement dans leurs activités?...2 Obligation de conserver de manière sécuritaire les dossiers de renseignements personnels sur la santé...2 Obligation de transférer de manière sécuritaire les dossiers de renseignements personnels sur la santé...3 Obligation d éliminer de manière sécuritaire les dossiers de renseignements personnels sur la santé...4 Obligation d aviser les particuliers concernés Pratiques exemplaires en cas de changement dans les activités du dépositaire...5 Sociétés d entreposage de documents...4 Avis de changement dans les activités du dépositaire...6 Prévoyance...8

4 Lignes directrices sur le traitement des renseignements personnels sur la santé en cas de changement dans les activités d un dépositaire Il peut se produire un changement dans les activités des dépositaires de renseignements sur la santé dans diverses circonstances : décès, faillite, retraite ou déménagement, entre autres. Les dossiers de renseignements personnels sur la santé, dans ces circonstances, doivent être traités de manière à assurer la protection de la vie privée et la sécurité des renseignements. Sinon, il pourrait y avoir des répercussions pour les personnes concernées. Des politiques et procédures inadéquates de gestion des dossiers à la suite d un changement dans les activités d un dépositaire peuvent non seulement entraîner une atteinte à la vie privée, mais également priver les particuliers de leur droit d accéder à leur dossier de renseignements personnels sur la santé et de le faire rectifier. En outre, si les particuliers et leurs fournisseurs de soins de santé n ont plus accès aux dossiers à la suite d un tel changement, la continuité des soins pourrait être remise en cause. Les changements dans les activités d un dépositaire de renseignements sur la santé peuvent soulever diverses questions relatives à la prestation de soins de santé; toutefois, les présentes lignes directrices portent plus précisément sur la conformité à la Loi de 2004 sur la protection des renseignements personnels sur la santé (LPRPS) et sur l adoption de pratiques exemplaires en matière de protection de la vie privée et d accès à l information dans le cadre de la gestion des dossiers de renseignements personnels sur la santé. Les présentes lignes directrices sont destinées surtout aux dépositaires de renseignements sur la santé, y compris à ceux qui font partie d un groupe de praticiens, mais elles peuvent être adaptées aux besoins d autres dépositaires également. Les dépositaires devraient consulter le texte de loi qui s applique à leur spécialité, par exemple, la Loi de 1991 sur les médecins, la Loi de 1991 sur les dentistes et la Loi de 1991 sur les physiothérapeutes, ainsi que les politiques et normes d exercice de leur profession de la santé. 1. Qui est dépositaire à la suite d un changement dans les activités d un cabinet? En règle générale, le dépositaire de renseignements sur la santé reste dépositaire des dossiers de renseignements personnels sur la santé après le changement, jusqu à ce la garde et le contrôle de ces dossiers soit confiée à une autre personne légalement autorisée à les détenir 1 dans l une ou l autre des circonstances suivantes. 1 Voir le paragraphe 3 (11) de la LPRPS.

5 En cas de décès du dépositaire, le paragraphe 3 (12) de la LPRPS prévoit que le fiduciaire de la succession du défunt, ou en l absence d un fiduciaire de la succession, quiconque a assumé la responsabilité de l administration de la succession du défunt, devient le dépositaire jusqu au transfert complet de la garde et du contrôle des dossiers à une autre personne qui est légalement autorisée à les détenir. Donc, le fiduciaire de la succession ou la personne qui assume la responsabilité de l administration de la succession doit se conformer aux obligations imposées aux dépositaires aux termes de la LPRPS. Si le dépositaire fait faillite ou devient insolvable et si une autre personne (p. ex., un syndic de faillite) obtient la garde ou le contrôle complet des dossiers de renseignements personnels sur la santé, cette personne devient le dépositaire de ces dossiers aux termes du paragraphe 3 (7) du Règlement 329/04 pris en application de la LPRPS. Si le dépositaire transfère des dossiers de renseignements personnels sur la santé à un successeur conformément au paragraphe 42 (2) de la LPRPS, ce successeur devient le dépositaire et assume la garde et le contrôle des dossiers. Par exemple, lorsqu un médecin prend sa retraite et transfère ses dossiers à un autre médecin, ce dernier devient le dépositaire de ces dossiers. Enfin, aux termes du paragraphe 42 (3) de la LPRPS, le dépositaire peut se départir de ses dossiers en les transférant aux Archives publiques de l Ontario ou à une personne prescrite dont les fonctions comprennent la collecte et la préservation de dossiers revêtant une importance historique ou archivistique 2. Si l archive n est pas mandataire, il s agit là de la seule situation où les dossiers peuvent être transférés à une personne qui n est pas dépositaire au sens de la LPRPS. 2. Quelles sont les obligations des dépositaires en vertu de la LPRPS en cas de changement dans leurs activités? Obligation de conserver de manière sécuritaire les dossiers de renseignements personnels sur la santé En vertu du paragraphe 13 (1) de la LPRPS, le dépositaire doit veiller à ce que les dossiers de renseignements personnels sur la santé dont il a la garde ou le contrôle soient conservés de manière sécuritaire conformément aux exigences prescrites, le cas échéant. Jusqu à maintenant, aucune exigence n a été prescrite dans le règlement pris en application de la LPRPS concernant la méthode de conservation des dossiers ou la période pendant laquelle ils doivent être conservés. Le paragraphe 13 (2) de la LPRPS oblige le dépositaire qui a la garde ou le contrôle de renseignements personnels sur la santé faisant l objet d une demande d accès prévue à l article 53 à les conserver uniquement aussi longtemps que nécessaire pour permettre au particulier d épuiser tout recours prévu par la LPRPS qu il peut avoir à l égard de la demande. Les dépositaires devraient consulter le texte de loi qui s applique à eux ainsi que les politiques et normes d exercice de leur profession de la santé concernant les périodes de conservation des renseignements personnels sur la santé. 2 Les alinéas 42 (3) a) et b) énoncent les modalités et exigences particulières à ce sujet.

6 L obligation que le paragraphe 13 (1) de la LPRPS impose au dépositaire de veiller à ce que les dossiers de renseignements personnels sur la santé dont il a la garde ou le contrôle soient conservés de manière sécuritaire peut être remplie par le dépositaire lui même ou par un mandataire, comme une société d entreposage de documents. L article 2 de la LPRPS définit un «mandataire» comme étant une personne qui, avec l autorisation du dépositaire, agit pour lui ou en son nom à l égard de renseignements personnels sur la santé, aux fins du dépositaire. Par conséquent, le dépositaire qui décide de prendre sa retraite ou de cesser d exercer sa profession, ou encore qui envisage d apporter d autres changements à ses activités, peut soit continuer de remplir son obligation de conserver les dossiers de manière sécuritaire soit obtenir les services d un mandataire pour le faire en son nom. Cependant, il faut souligner qu en vertu du paragraphe 17 (1) de la LPRPS, le dépositaire demeure responsable des dossiers de renseignements personnels sur la santé même si un mandataire, comme une société d entreposage de documents, les conserve pour lui. Soulignons aussi qu un mandataire d un dépositaire de renseignements sur la santé ne doit pas recueillir, utiliser, divulguer, conserver ou éliminer des renseignements personnels sur la santé au nom du dépositaire à moins que celui-ci ne l y autorise, sous réserve de certaines exigences. Ainsi, le dépositaire doit être autorisé à recueillir, à utiliser, à divulguer, à conserver ou à éliminer les renseignements, selon le cas, ou être tenu de le faire; la collecte, l utilisation, la divulgation, la conservation ou l élimination des renseignements, selon le cas, est faite dans l exercice des fonctions du mandataire et est conforme aux restrictions imposées par le dépositaire ou par la loi; il est satisfait aux exigences prescrites, le cas échéant. Pour les pratiques exemplaires concernant la conservation des dossiers confiés à un mandataire, consulter la section 3 des présentes, «Pratiques exemplaires en cas de changement dans les activités du dépositaire». Par ailleurs, le paragraphe 12 (1) de la LPRPS oblige le dépositaire à prendre des mesures qui sont raisonnables dans les circonstances pour veiller à ce que les renseignements personnels sur la santé dont il a la garde ou le contrôle soient protégés contre le vol, la perte et une utilisation ou une divulgation non autorisée et à ce que les dossiers qui les contiennent soient protégés contre une duplication, une modification ou une élimination non autorisée. Pour obtenir de plus amples renseignements et des pratiques exemplaires sur la protection des renseignements personnels sur la santé, y compris la mise en œuvre de mesures physiques, administratives et techniques, consulter la Feuille-info n 1 : La protection des renseignements personnels sur la santé du CIPVP, à Obligation de transférer de manière sécuritaire les dossiers de renseignements personnels sur la santé Aux termes du paragraphe 13 (1) de la LPRPS, le dépositaire doit veiller à ce que les dossiers de renseignements personnels sur la santé dont il a la garde ou le contrôle soient transférés de manière sécuritaire conformément aux exigences prescrites, le cas échéant. Jusqu à maintenant,

7 aucune exigence n a été prescrite dans le règlement pris en application de la LPRPS concernant la méthode de transfert des dossiers. Tel qu indiqué à la section 1 des présentes, la LPRPS permet le transfert de dossiers à un successeur ou à une archive. Obligation d éliminer de manière sécuritaire les dossiers de renseignements personnels sur la santé Le dépositaire peut éliminer de manière sécuritaire des dossiers de renseignements personnels sur la santé dans les cas où la LPRPS le lui permet, après l expiration de la période de conservation établie pour ces dossiers, le cas échéant. Ces périodes de conservation peuvent être fixées dans les textes de loi ainsi que les politiques et normes d exercice de chaque profession de la santé. En vertu du paragraphe 13 (1) de la LPRPS, le dépositaire doit veiller à ce que les dossiers de renseignements personnels sur la santé dont il a la garde ou le contrôle soient éliminés de manière sécuritaire conformément aux exigences prescrites, le cas échéant. Le paragraphe 1 (5.1) du Règlement 329/04 pris en application de la LPRPS définit l expression «éliminés de manière sécuritaire» aux fins du paragraphe 13 (1). Selon cette définition, les dossiers de renseignements personnels sur la santé qui sont détruits doivent l être d une façon telle qu il est raisonnable de prévoir qu ils seront impossibles à reconstituer. Ainsi, lorsqu un dépositaire prend sa retraite ou cesse d exercer sa profession, ou apporte d autres changements à ses activités, il peut détruire des dossiers dans les circonstances où il est autorisé à le faire. Pour obtenir de plus amples renseignements et des pratiques exemplaires sur l élimination de manière sécuritaire des renseignements personnels sur la santé sur papier et sous forme électronique, et notamment sur la sélection de fournisseurs de services aux fins de la destruction de dossiers, consulter la Feuille-info n 10 : La destruction sécurisée de renseignements personnels du CIPVP, à Obligation d aviser les particuliers concernés Le paragraphe 42 (2) de la LPRPS permet au dépositaire de transférer des dossiers de renseignements personnels sur la santé à un successeur à condition de prendre des mesures raisonnables pour en aviser les particuliers concernés par ces renseignements avant de le faire ou, si ce n est pas raisonnablement possible, dès que possible après l avoir fait.

8 3. Pratiques exemplaires en cas de changement dans les activités du dépositaire Sociétés d entreposage de documents Comme nous l avons déjà souligné, le paragraphe 13 (1) de la LPRPS oblige le dépositaire à veiller à ce que les dossiers de renseignements personnels sur la santé dont il a la garde ou le contrôle soient conservés de manière sécuritaire conformément aux exigences prescrites, le cas échéant. Il peut le faire lui-même ou par l entremise d un mandataire, comme une société d entreposage de documents. Il est recommandé que le dépositaire qui apporte un changement à ses activités en informe les personnes concernées de la façon décrite plus loin avant de faire appel à une société d entreposage de documents pour conserver les dossiers de renseignements personnels sur la santé. En outre, il est recommandé au dépositaire de conclure avec le mandataire une entente prévoyant ce qui suit : Le mandataire doit respecter les pratiques relatives aux renseignements du dépositaire relativement aux dossiers de renseignements personnels sur la santé qu il conserve au nom du dépositaire. Le mandataire ne doit pas recueillir, utiliser, divulguer, conserver ou éliminer des renseignements personnels sur la santé au nom du dépositaire à moins que celui-ci ne l y autorise, sous réserve de certaines exigences. Ainsi, le dépositaire doit être autorisé à recueillir, à utiliser, à divulguer, à conserver ou à éliminer les renseignements, selon le cas, ou être tenu de le faire; la collecte, l utilisation, la divulgation, la conservation ou l élimination des renseignements, selon le cas, est faite dans l exercice des fonctions du mandataire et est conforme aux restrictions imposées par le dépositaire ou par la loi; il est satisfait aux exigences prescrites, le cas échéant. Les fins auxquelles le mandataire peut recueillir, utiliser, divulguer, conserver ou éliminer des renseignements personnels sur la santé au nom du dépositaire. Les restrictions que le dépositaire impose au mandataire concernant la collecte, l utilisation, la divulgation, la conservation ou l élimination de renseignements personnels sur la santé. Les mesures que doit prendre le mandataire pour veiller à ce que les renseignements personnels sur la santé qu il conserve au nom du dépositaire soient protégés contre le vol, la perte et une utilisation ou une divulgation non autorisée et à ce que les dossiers qui les contiennent soient protégés contre une duplication, une modification ou une élimination non autorisée.

9 Les mesures que doit prendre le mandataire pour veiller à ce que les renseignements personnels sur la santé qu il conserve au nom du dépositaire soient conservés, transférés et éliminés de manière sécuritaire. Les procédures que le mandataire doit suivre pour permettre aux particuliers d accéder à leurs dossiers de renseignements personnels sur la santé et de les faire rectifier conformément à la LPRPS. Les frais que le mandataire peut demander au nom du dépositaire pour l accès aux dossiers de renseignements personnels sur la santé. Le fait que le mandataire doit informer le dépositaire à la première occasion raisonnable si des renseignements personnels sur la santé qu il traite ont été volés ou perdus ou si des personnes non autorisées y ont eu accès. Avis de changement dans les activités du dépositaire Il est important d informer les particuliers concernés de tout changement dans les activités du dépositaire. Les pratiques exemplaires suivantes précisent la méthode de notification, qui devrait fournir l avis et ce que ce dernier devrait contenir. Méthode de notification La notification peut se faire de diverses façons. Il est préférable d informer directement les particuliers concernés en cas de changement dans les activités du dépositaire par l un des moyens suivants : en personne, lors d un rendez-vous; par lettre; par téléphone 3. Comme il ne sera peut-être pas possible de joindre directement tous les particuliers concernés, on peut recourir à la notification indirecte, mais uniquement lorsqu il est difficile ou impossible de procéder à une notification directe, par exemple s il faut joindre un grand nombre de personnes qu il serait coûteux de notifier directement, ou si les coordonnées des particuliers sont inadéquates (c.-à-d. périmées, manquantes ou incomplètes). Voici des exemples de notification indirecte : 3 Les avis personnalisés sont efficaces; cependant, les dépositaires doivent faire preuve de prudence pour éviter que des renseignements personnels sur la santé de la personne en question ne soient divulgués par inadvertance à quelqu un d autre. Par exemple, un message laissé sur le répondeur d un patient pourrait être accessible aux autres membres de sa famille. Les méthodes de notification énoncées dans la présente section s'inspirent de celles fournies dans la politique 5-06 de l'ordre des médecins et chirurgiens de l'ontario, intitulée Practice Management Considerations for Physicians Who Cease to Practise or Take an Extended Leave of Absence.

10 Avis affiché dans le bureau du dépositaire; Avis affiché sur un site Web; Message enregistré sur le répondeur du dépositaire; Annonce publiée dans un journal. Il est recommandé d utiliser plusieurs formes de notification, surtout s il est irréaliste ou impossible de joindre directement chaque personne concernée. Qui doit fournir un avis? Lorsqu un dépositaire transfère ses dossiers à un successeur, la LPRPS l oblige à notifier la personne concernée avant de le faire ou, si ce n est pas raisonnablement possible, dès que possible après l avoir fait. Il est également recommandé au dépositaire qui apporte d autres changements à ses activités d en aviser également les particuliers concernés. Si le fiduciaire de la succession ou la personne qui assume l administration de la succession est réputée dépositaire en ce qui concerne les dossiers de renseignements personnels sur la santé, comme nous l avons expliqué plus haut, cette personne doit informer les particuliers concernés de ce changement. Idéalement, l avis devrait émaner d une personne dont les particuliers savent qu elle a accès à leurs renseignements personnels sur la santé. Ainsi, il est préférable que cet avis provienne du dépositaire plutôt que d un mandataire que les particuliers ne connaissent pas, comme une société d entreposage de documents. Contenu de l avis L avis de changement dans les activités devrait fournir des renseignements clairs et adaptés à la situation. Il devrait comprendre au moins : une description du changement prévu; si les dossiers seront transférés à un dépositaire successeur, les coordonnées de ce dernier; si le dépositaire est décédé, les coordonnées de la personne réputée dépositaire des dossiers de renseignements personnels sur la santé du dépositaire décédé (p. ex., le fiduciaire de la succession) ou, s il y a lieu, de la personne qui est légalement autorisée à détenir les dossiers et à qui la garde et le contrôle de ceux-ci ont été transférés; Si le dépositaire est en faillite ou insolvable, les coordonnées de toute personne réputée dépositaire des dossiers de renseignements personnels sur la santé à la suite de cette faillite ou insolvabilité;

11 Si le dépositaire cesse ses activités et veut conserver les dossiers de renseignements personnels sur la santé, ses coordonnées après la fermeture de son cabinet; Si le dépositaire cesse ses activités et confie les dossiers à un mandataire comme une société d entreposage de documents, les coordonnées du mandataire qui conservera les dossiers au nom du dépositaire; La période pendant laquelle le dépositaire ou son mandataire conservera les dossiers; Des renseignements sur la façon dont les particuliers peuvent demander l accès à leur dossier ou sa rectification, ou encore son transfert à un autre dépositaire avant et après les changements que ce dernier apporte à ses activités. Prévoyance Les dépositaires devraient penser à la façon dont ils continueront de respecter leurs obligations en vertu de la LPRPS s ils apportent des changements à leurs activités. Les pratiques exemplaires suivantes pourraient se révéler utiles à cette fin. Adopter des pratiques de tenue de dossiers qui assurent la protection des renseignements personnels sur la santé Avant tout, les dépositaires se doivent de comprendre les exigences de la LPRPS et les pratiques de tenue de dossiers afin d assurer la protection des renseignements personnels en tout temps, y compris à la suite d un changement dans leurs activités. Identifier clairement le dépositaire Pour les praticiens de la santé exerçant seuls, l identité du dépositaire de renseignements personnels sur la santé est claire, mais il n en va pas toujours de même pour les praticiens qui font partie d un cabinet de groupe. Il peut arriver que deux ou plusieurs praticiens s associent et que chacun devienne dépositaire, ou encore que des dépositaires engagent un ou plusieurs praticiens de la santé à titre de mandataires. Lorsqu un cabinet de groupe est constitué en société, c est celle-ci qui est dépositaire, et les praticiens sont ses mandataires. Dans les cabinets de groupe, il faut identifier clairement le dépositaire et définir officiellement les obligations de chaque membre du groupe en ce qui concerne les dossiers de renseignements personnels sur la santé si des changements sont apportés aux activités du cabinet. Mesures de protection des renseignements personnels et de continuité de la gestion des dossiers

12 Qu ils exercent seuls ou en groupe, les dépositaires doivent réfléchir aux mesures à prendre s ils apportent des changements à leurs activités, par exemple : Établir des politiques et des procédures, notamment pour informer les particuliers comme le suggèrent les présentes lignes directrices, à suivre en cas de changements dans les activités; Tenter de trouver un successeur avant que ne se produise un événement qui entraînerait un changement dans les activités (p. ex., décès ou fermeture du cabinet); Pour les dépositaires qui n ont pas trouvé de successeur : o Désigner dans leur testament un fiduciaire de la succession qui sera disposé et apte à remplir les obligations d un dépositaire; o Prendre des dispositions pour assurer l entreposage sécurisé des dossiers après la cessation de leurs activités. Accord entre les membres d un cabinet de praticiens Les dépositaires qui font partie d un cabinet de groupe devraient aborder la continuité de la gestion des dossiers dans leur accord. Tous les praticiens de la santé doivent garder en tête qu ils pourraient avoir des obligations professionnelles en ce qui concerne le traitement des dossiers de renseignements personnels sur la santé, qu ils soient ou non considérés comme des dépositaires de renseignements sur la santé en vertu de la LPRPS. Il est donc recommandé de prévoir dans l accord les mesures suivantes de protection de la vie privée : Des dispositions concernant l entreposage sécurisé des dossiers. Si l on fait appel à un mandataire (p. ex., société d entreposage de documents), l accord devrait identifier clairement ce mandataire et ses responsabilités. Comme nous l avons déjà mentionné, il est préférable de conclure avec le mandataire un contrat distinct qui établit clairement ses obligations en ce qui concerne les renseignements personnels sur la santé. La méthode de distribution des documents si des changements sont apportés aux activités. L obligation de notifier les personnes concernées, comme le suggèrent les présentes lignes directrices, si des changements sont apportés aux activités. La marche à suivre en cas de départ imprévu d un dépositaire. Dans cette situation, il faut au moins s assurer que : o les personnes concernées sont informées de ce changement; o les dossiers sont conservés dans un endroit sécurisé en attendant qu un autre dépositaire en assume la responsabilité ou que le particulier concerné demande que son dossier soit transféré à un autre dépositaire.

13 Circonstances imprévues Il est souhaitable que les dépositaires tentent de planifier tout changement dans leurs activités, mais certains événements sont impossibles à prévoir. Par exemple, un dépositaire qui a un différend avec un locateur au sujet de son loyer pourrait perdre la garde et le contrôle des dossiers. Soulignons que même en cas de circonstances imprévues, les dépositaires demeurent responsables de la sécurité des dossiers en tout temps, et doivent remplir leurs obligations en vertu de la LPRPS. Dans la mesure du possible, les dépositaires devraient remplir toutes leurs obligations de nature commerciale (p. ex., payer leur loyer) afin de conserver en tout temps la garde ou le contrôle des dossiers de renseignements personnels sur la santé. Les dépositaires qui perdent temporairement la garde ou le contrôle des dossiers doivent prendre immédiatement les mesures qui s imposent pour les récupérer dans les plus brefs délais. 10

14 Commissaire à l'information et à la protection de la vie privée de l'ontario 2, rue Bloor Est Bureau 1400 Toronto (Ontario) M4W 1A Télécopieur : ATS (Téléimprimeur) : Site web :